Scope 与访问控制

Scope 选择项目上下文边界。其不透明 ID 用于标识数据，不负责认证调用者，也不授予数据访问权限。

隔离项目并绑定 Agent

1. 通过 GET /v1/scopes/default 读取默认 Scope，或通过 POST /v1/scopes 创建独立 Scope。 保留返回的 scope_id，不要从目录、仓库名或 Agent 会话 ID 推导它。
2. 通过宿主的显式 Scope 设置或其支持的持久绑定操作选择该 Scope，具体设置见宿主指南。 没有绑定或显式选择时，宿主可能共用 Server 默认 Scope；切换项目目录本身不会建立隔离。
3. 保存项目信息前，在宿主诊断或 API 响应中检查解析后的 Scope。

父子关系用于组织 Scope，显式上下文引用用于描述复用；两者都不授予访问权限。 精确、子树和全部 Scope 视图改变的是查看范围，不改变调用者权限。

启用访问控制

共享或远程使用时，按部署认证设置 POWERCONTEXT_SERVER_ACCESS_MODE=enforced。 内置静态 Bearer token 代表一个管理员 Principal，不能区分各个用户。 多用户部署需要注入 Authentication Provider 和相应的 AccessControlService，见配置。

通过 GET /v1/access/me 检查当前身份和 Provider 能力。Role 与 Binding 控制 Server、Scope 和 Artifact 操作。 创建 Scope 需要 server.admin；修改 Prompt 需要当前 scope.admin 权限。 能够读取候选材料不代表能够批准候选材料。

定时处理需要有权限的后台 Principal。标签查询需要 scope.read，修改目标标签遵循目标自身的写权限。 相关流程见标签和 Scope Profile。

团队使用入口

团队通过 API、MCP 或宿主集成使用各自的身份与权限。Dashboard 仅用于静态 token 鉴权的个人和演示部署， 不作为 RBAC 团队入口；团队部署保持 POWERCONTEXT_SERVER_DASHBOARD_ENABLED=false。